CVE-2026-63177 in Malcolm
Sumário
de VulDB • 12/08/2026
Malcolm é uma suíte de ferramentas para análise de tráfego de rede. Antes da versão 26.07.0, o controle de acesso baseado em funções (role-based access control) aplicado na camada Lua do Nginx OpenResty avalia a variável `ngx.var.request_uri` bruta e não normalizada, enquanto o próprio Nginx roteia as solicitações usando o caminho normalizado. Um usuário autenticado com baixos privilégios pode preponderar um segmento de traversal (por exemplo `/x/../upload/...`) para que o Nginx roteie a solicitação para um backend restrito, enquanto a verificação de função no Lua falha em corresponder a qualquer regra e permite o acesso indevido. A versão 26.07.0 corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.